arachniの結果について

結果出力方法

arachniのスキャンが終わったら.afrが作成されます。
bin/arachni_reporter --reporter=html ファイル名.afr
とすることでzipが作成され、解凍するとhtmlが入っています。

htmlについて

IssuesとSitemapを確認しましょう。

Summary

結果のサマリーです。
特に見なくていいです。

Issues

チェックで引っかかった脆弱性に関する情報が書いてあります。
主にここを見ます。

• TrustedとUntrusted
  この区分はよくわかりませんが、両方確認してください。

  • High, Medium, Low, Informational
    脆弱性の危険レベルです。
    Highはやばい脆弱性ですので、確実に修正しましょう。
    Mediumはなるべく対応しましょう。
    Low, Informationalは内容を確認してできるものは対応してください。

Plugin results

arachni内のプラグインの結果だそうです。
気にしなくていいです。

Sitemap

チェックしたURLの一覧です。
チェックしたかったURLが含まれているか確認してください。
また、サイト全体を一気にやった場合は網羅されているか確認してください。

Configuration

arachni実行時のパラメータ一覧です。
どんなチェックをしたか確認できます。

Issuesについて

• Vector information
• Affected page

これらをクリックすると、どのページにどのようなパラメータを入れて、どうなったのかがわかりますので、確認して該当箇所を修正してください。

トークン入れてるのにCSRFが出るんだけど

token入れてるなら大丈夫だと思いますので、スルーでいいです。
cakephpでもよく出ます。

X-Frame-Options

危険度はLowですが、IPAのチェックシートにもあるので、クリックジャッキング対策として記述するようにしたほうが良いと思います。